1、 .constCCOUNTED_UNICODE_STRING DevicedevDHDriver,g_usDeviceName,4?slDHDriver,g_usSymbolicLinkName,4 .code;DriverUnload proc pDriverObject:PDRIVER_OBJECT invoke DbgPrint,$CTA0（Driverunload） IoDeleteSymbolicLink,addrg_usSymbolicLinkName mov eax,pDriverObject IoDeleteDevice,（DRIVER_OBJECTptr eax）.Devic
2、eObject ret endpDispatchCreateClose proc pDeviceObject:PDEVICE_OBJECT,pIrp:PIRP eax,pIrp assume eax:ptr_IRP eax.IoStatus.Status,STATUS_SUCCESS eax.IoStatus.Information,0nothing IoCompleteRequest,pIrp,IO_NO_INCREMENT eax,STATUS_SUCCESS .code INITDriverEntryPDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRI
3、NG local status:NTSTATUS pDeviceObject:PDEVICE_OBJECT status,STATUS_DEVICE_CONFIGURATION_ERROR IoCreateDevice,pDriverObject,0,addrg_usDeviceName,FILE_DEVICE_UNKNOWN,0,FALSE,addr pDeviceObject .if eax=STATUS_SUCCESS IoCreateSymbolicLink,addrg_usSymbolicLinkName,addr g_usDeviceNameptr DRIVER_OBJECT ea
4、x.DriverUnload,offset DriverUnload eax.MajorFunctionIRP_MJ_CREATE*（sizeof PVOID）,offsetDispatchCreateClose eax.MajorFunctionIRP_MJ_CLOSE*（sizeof PVOID）,offsetDispatchCreateCloseDriver entry status,STATUS_SUCCESS .else IoDeleteDevice,pDeviceObject .endif: eax,status END DriverEntry CCOUNTED_UNICODE_S
5、TRING宏在汇编语言中定义一个类似DDK中的UNICODE_STRING的结构，定义在Strings.mac中，这是KmdKit作者Four-F的伟大贡献之一，Strings.mac包含了对大部分字符串的定义，ANSI字符串$CTA0（类似于char ）；Unicode字符串$CTW0（类似于w_char ）。在Strings.mac出现之前，在汇编中定义Unicode字符串是件相当麻烦的事情。 DriverEntry是内核程序的入口点，当内核模块被加载时，程序从这里开始执行，类似于用户态程序的WinMain或main函数。其中的IoCreateDevice和IoCreateSymbolic
6、Link创建设备名和创建符号连接。IoCreateDevice使用DevicedevDHDriver为名字来创建一个设备，你可以使用KmdKit中的SymLinks.exe这个工具来查看我们创建的符号和连接： 同时你也可以在以后的用户态应用程序中以.devDHDriver为文件名，用CreateFile来打开我们创建的内核对象。 下面的代码为内核对象指定分派例程，例如：当使用CreateFile和CloseHndle打开或关闭对象的时候，我们的内核程序使用哪个函数处理（这里用DispatchCreateClose这一个函数来处理）；当使用DeviceIoControl与内核对象交换数据时，应该
7、用哪个函数来处理（我们的例子中没有添加对DeviceIoControl的支持）；当内核对象被卸载时，应该用哪个函数来处理（这里是DriverUnload这个函数）。 其实设备名称和连接符号不是内核态程序必须的，特别是一些不需要与用户态程序进行数据交互的内核程序，我们的程序就是这样，所以在我们的代码中完全不需要调用IoCreateDevice、IoCreateSymbolicLink，也不需要在分派例程中指定DispatchCreateClose这个函数，DispatchCreateClose也只是调用IoCompleteRequest直接向用户态程序返回操作成功。把这些写在这里的目的，只是让大
8、家有所了解。 后面的DbgPrint向内核调试器输出一串字符，类似于用户态的OutputDebugString函数。这个函数的调用也不是必须的，只方便我们检查用。 DriverEntry应该返回STATUS_SUCCESS这样才能保证我们的内核程序被正常加载。看到这里，大家也许会发现其实DriverEntry这个函数只在系统加载内核模块时才被调用一次，其它时间永远不再调用了，如果在内核模块加载后仍将这份代码保存在内存中，真是一份不必要的内存开销（虽然我们的例子中这个开销非常小），所以我们将DriverEntry函数单独定义在.code INIT节中，表示当内核加载完成后，这部分代码可以从内存中
9、丢弃。 再来看DriverUnload，刚才已经说了，我们将这个函数指定为内核模块的卸载例程，也就是当我们的内核模块被卸载时调用。它所作的工作刚好和DriverEntry相反：用IoDeleteSymbolicLink删除符号连接，用IoDeleteDevice删除设备。正如前面说的一样，如果你的内核程序并没有创建设备和符号连接，也就不需要调用这两和函数。 好了，代码写完，我们来看内核程序的汇编和连接。在我的印象中MicrosoftVisual Studio 2005及以上版本内置了对汇编语言的汇编支持，不幸这一次我安装的是2003版（我原以为2003也内置支持）。所以我们得手动地来调整。在D
10、ynamicHook.asm的“属性”“自定义生成步骤”“常规”中，设置命令行为：ml /c /coff /nologo/Fo$（IntDir）$（InputFileName）.obj /IC:MASM32includew2k /IC:MASM32Macros$（InputFileName）（Debug版本可以加上/Zi参数）。ml各参数的含义你可以输入ml /?来查看，这里就不在敷述了。大家看到/I参数，指定了输入目录的位置，这就是我刚才讲如果你不将MASM32安装到C盘，这里你就要重新指定。设置输出为：$（IntDir）$（InputFileName）.obj，如图： 当然，随着我们程序的
11、进一步深入，DynamicHook.asm会include其它一些文件，你就需要在“附加依赖”里面指定这些文件，以保证当有文件修改时，VC会发现需要重新进行汇编。 然后进入连接器选项，在“常规”选项卡中将输出文件修改为：$（OutDir）/DynamicHook.sys；“启用增量连接”选“否”；附加库目录中输入：C:masm32libw2k： “输入”选项卡中附加依赖项：ntoskrnl.lib hal.lib；忽略所有默认库选“是”： “调试”选项卡中，生成调试信息选“是”（这个随便你，我见过很多人发行出来的exe仍包含有调试符号，逆向起来相当Happy）。 “System”选项卡中子系统
12、我们选“未设置”（VS2003相当不给力，只有CONSOLE、WINDOWS和未设置三个选项，VS2005中好像就有NATIVE，这个我们现在只有不设置，等会在命令行中手动设置）： “高级”选项卡中，设置入口点为：DriverEntry（刚才我已经说了，这次我怕连接器不认识）；设置校验和选“是”（内核程序的校验和都应该设置，虽然在用户态下，当启动进程时系统并不检查PE文件实际的校验和和PE文件结构中填写的校验和是否一致，但在对内核模块，系统却要严格检查，设置的校验和若与实际的校验和不一致，内核模块是不能被加载的）；基址上填“0x10000”（我习惯用这个基址了，当然，若不设置，也没关系）： 最
13、后在命令行中输入：/align:16 /ignore:4078 /section:CODE,REW/subsystem:native /driver： /align:16指定PE文件及内存映像按16字节对齐（通过我的经验来看，其实这个选项如何设置并不重要，但内核中内存是很宝贵的，还是弄小一点吧）。 /ignore:4078若不设置，每次连接时会出现下面的warning：LINK : warning LNK4078: 找到多个“INIT”节，它们具有不同的属性（E2000020）。看着不顺眼，去掉吧。 /section:CODE,REW这个选项它指定CODE这个节（关于“节”的意思，学习下PE文
14、件即知，你不学也没关系，我以后要讲）具有可读、可写、可执行的属性，虽然目前我们还没有CODE这个节，但以后会有用的。 /subsystem:native就是我们前面说的“子系统”，前面我们没有指定，在这里手动指定为native。 /driver很简单了，我们要连接出一个“驱动”程序（也许VS把所有内核态程序都统称为“驱动”吧）。 搞完这些，一按“生成”，若无意外，我们用汇编写的第一个内核程序DynamicHook.sys就生成了。现在我们来学习如何用它。前面我们说了，用KmdKit中Tools目录中KmdManager.exe这个工具来加载和卸载它： 像图上这样，选好文件，把中间两个复选框选上
15、，这里要说一下，在Win32下，加载一个内核程序首先要用CreateService创建，然后用StartService启动，用StopService停止，用DeleteService删除，对已经创建的，用OpenService打开。对于正常的内核程序，一般在安装时用CreateService，这时可以设置启动方式为SERVICE_AUTO_START、SERVICE_BOOT_START、SERVICE_DEMAND_START、SERVICE_DISABLED或SERVICE_SYSTEM_START，这些意义都顾名思义的。由于我们的内核模块是自己用的，所以我们都使用Create、Start
16、、Stop、Delete这样的过程，以免在注册表中留下垃圾，所以我们把中间的复选框选中，点RegnRun完成Create和Start，点StopnUnreg完成Stop和Delete： 根据KmdManager.exe的输出，我们的内核模块加载和卸载都是正常的。但是！写程序就如打仗：用户态下你就如张飞张胖子，随你如何乱来，有勇无谋，打死敌人解决问题就是王道，大不了来个非法操作，重新按F5调试一次；在内核态下，你一定要向诸葛亮同志学习谨慎！谨慎！内核态下没有机会给你重来，出错就是蓝屏，就是重启。而且内核态的程序调试起来相当复杂，SoftICE比较有名，但不稳定，毕竟它对目标系统的影响太大了。Wi
17、nDbg对目标系统的影响较小，但用电缆连接双机调试也很不方便，当然有改进的办法，安装VirtualPC用COM口模拟双机电缆连接，但调试器的使用你就不要再以为舒服得像Ring3下一边听着MP3一边跟MM聊天一边在OllyDbg中复制粘贴了。有关使用VirtualPCWinDbg调试内核代码的方法，可以在baidu上去找，与本课题无关，也就不在敷述了。 说了这么多，我只想说：要谨慎！刚才我们不是用DbgPrint输出了一些调试信息吗？现在我们就把DebugView启动起来看看。在DebugView中把Capture Win32关掉，把Capture Kernel，在KmdManager中点“RegnRun”，DebugView输出“Driver entry”，再点“StopnUnreg”，DebugView输出“Driver unload”： 一切都是OK的，打完收工。 这章我们讲了如何用汇编语言来编写一个简单的内核态程序，下一章，我们要讲解什么是SSDT，SSDT的重要性以及如何在内核程序中获取SSDT。
